CN103812862A

CN103812862A - 可信安全云计算构成方法

Info

Publication number: CN103812862A
Application number: CN201410032797.3A
Authority: CN
Inventors: 韩永飞
Original assignee: XIAMEN DENSE PRINCIPAL INFORMATION TECHNOLOGY CO LTD
Current assignee: XIAMEN DENSE PRINCIPAL INFORMATION TECHNOLOGY CO LTD
Priority date: 2014-01-23
Filing date: 2014-01-23
Publication date: 2014-05-21

Abstract

本发明结合可信计算和虚拟化技术，提出可信虚拟技术思路，坚持从源头入手，从平台启动时的安全可信、程序可控可管、数据处理和存储时的安全机密性三个方面着手，研制“可信安全云计算系统”。该系统有利于解决云计算平台用户的系统可信，程序可信和数据安全，具有很强的实用价值，保护数据的隐私性。

Description

可信安全云计算构成方法

技术领域：

本系统通过对云计算中各类机密数据信息的产生、存储、传输、使用和销毁整个生命周期进行控制、跟踪和保护，采用可信计算技术，虚拟机技术、可信计算技术、可信存储技术，来确保设备的原始性，程序的完整性和原始性。

背景技术：

云计算系统正常运行和敏感数据的安全和管理保护事关国家安全和社会稳定，目前的可信计算和云安全防御模型根据不同的安全需求，在保密性、完整性、可控性等安全方面的侧重点各异，边界安全的传统措施，都无法适应面向云计算的无边界，无主机的要求。本项目结合可信计算和虚拟化技术，提出可信虚拟技术思路，坚持从源头入手，从平台启动时的安全可信、程序可控可管、数据处理和存储时的安全机密性三个方面着手，研制“可信云计算系统”，该系统有利于解决云计算平台用户的系统可信，程序可信和数据安全，具有很强的实用价值。本项目成果对于云计算产业的发展做出了有利的支撑，有助于云计算的实际部署和推广应用，符合国家对云计算产业建设发展的规划和需求。该方案对IAAS，PAAS和SAAS层都适用。

发明内容：

本系统通过对云计算中各类机密数据信息的产生、存储、传输、使用和销毁整个生命周期进行控制、跟踪和保护，利用度量技术和可信链，实现对设备原始性，程序的原始性和完整性提供保证。

附图说明：

图1：可信云计算的可信部分框图

图2：透明加密方案图

图3：系统构成图

具体实施方式：

一、系统组成部分。

1、基于虚拟机的隔离机研制：VMM层直接运行于硬件层之上，各个客户操作系统运行于VMM层之上，VMM层通过虚拟化技术为客户操作系统提供硬件环境一致的运行条件，构建多个具备自身操作系统和应用的客户虚拟机。

2、基于TPCM或TPM的远程平台认证和身份管理：用身份证明密钥AIK代替TPCM唯一的背书密钥EK来签名平台配置寄存器PCR，向服务提供者提供平台的身份证明。一个TPCM或TPM可以拥有多个AIK。为TPM颁发虚拟平台身份密钥AIK证书过程：

①物理TPCM首先产生一个AIK，AIK是2048位的RSA密钥对。

②物理平台向一个证书服务器请求AIK证书，请求中包含AIK公钥、密码模块密钥EK的证书和其它平台相关的信息。

③证书服务器验证EK证书及相关信息，验证通过则为AIK签发AIK证书。

3、基于可信技术的无痕透明加密技术：透明加解密模块实现加解密功能完成文件的透明加解密，通过修改其文件系统的结构分为两个部分：内核部分和用户空间部分。基于可信平台模块TPM实现透明加／解密文件的基本步骤如下：

①物理TPCM首先产生一个AIK，AIK是2048位的RSA密钥对。

②物理平台向一个证书服务器请求AIK证书，请求中包含AIK公钥、密码模块密钥EK(TPM endorsement key)的证书和其它平台相关的信息。

④虚拟TPCM管理器利用物理TPM产生一个加密密钥(bind ing Key)，该加密密钥是一个2048位RSA密钥对。

⑤虚拟TPCM管理器用平台身份密钥AIK签署(Certify)签名密钥该加密密钥，证明该加密密钥与AIK同属一个物理平台。

⑥用户可使用该加密密钥对机密文件进行加密。

4、基于虚拟机监视器的泄漏行为监控技术：基于内存的域间通信信道建立操作是通过用户管理接口调用虚拟机监视器中对应超级调用来实现的。在虚拟机监视器中加入敏感事件的主动触发模块，一旦超级调用被触发，该模块立即通知在管理域中的监控程序，从而可以快速有效的实现对内存复用信道的实时监控。5、系统集成：本项目结合虚拟化技术，虚拟机的隔离性能保证在VMM上运行的虚拟机之间不会相互干扰，并且在不同虚拟机之间的切换非常容易，不用重新启动计算机，操作方便。构造这种可信虚拟环境，可以更好的保护机密的电子文档。并且可信虚拟环境可以和传统的非可信环境中的电子文档加密与操作监控系统集成。

二、系统的关键技术。

1、基于可信计算虚拟执行环境构建方法。其特点主要体现在：

1)终端虚拟环境的信任链构建及可信度量方法：通过对物理TPCM的模拟和扩展，建立了多个虚拟TPCM实例，每个vTPCM与客户虚拟机一一对应，为用户提供绑定、密封、密钥存储等一系列与物理TPCM相同的功能。

2)可信虚拟平台的远程可信验证方法：针对虚拟机的动态迁移特性和系统虚拟化环境中可能出现的嵌套运行情况，设计了虚拟平台迭代证明模型，提出了基于隐私CA和直接匿名验证的远程证明方案，既能验证当前虚拟机的状态，又能检验下层基础平台的可信性。

2、数据泄露行为的主动监控技术与安全防范机制。其特点主要体现在：

1)基于优化分解模型的管理域优化裁剪方法：分析Dom0的特权集合属性，将关键的特权操作集合移植进只读管理域DomB中，保留静态的不会对系统安全造成危害的特权功能。

2)基于交叉视图的客户虚拟域进程信息监控方法：通过语义断层消除技术将被监控虚拟机的原始内存信息重构为上层语义信息，重构出被监控虚拟机的进程链表，并与利用虚拟机内部的接口获取内部的进程链表对比，以确定是否有隐藏进程。当识别出有隐藏进程时，将隐藏进程页表项属性的不可执行位置位，使得目标进程获取CPU使用权并开始执行时，会触发取指令错误的缺页异常，从而导致隐藏进程运行终止。

3)基于策略控制的多等级虚拟机网络及域间通信监控方法：客户域中的网络设备通过前端驱动与后端驱动通信，传递网络数据包。

3、平台相关的透明解密方案和密钥管理方案。其特点体现在：

1)适于虚拟机环境的透明加解密方法：为了实现虚拟机中敏感文件与平台相关，且对用户感知透明，设计了适于虚拟机环境的透明加解密方法，利用eCryptfs加密文件，与可信虚拟平台密钥管理方案相配合，将文件加密密钥与当前虚拟机环境相绑定，使得只有在当前平台环境配置下才能解密文件，确保敏感文件机密性、平台绑定性的同时，对用户呈现透明的文件加解密过程。

2)基于可信平台模块的密钥管理方案：可信虚拟平台密钥管理方案分为请求密钥，存储密钥，管理密钥和密钥服务接口。密钥管理服务为方案的核心功能，负责管理所有注册的密钥信息，包括密钥的名字，长度，口令，生成时间和密钥数据。密钥是与当前平台环境绑定的，只有在当前平台环境下才能使用密钥解密数据，在非法平台上即使使用密钥也无法读取敏感数据。

4、完成了云计算环境下敏感数据防泄漏系统。根据上述技术方案，研制了云计算环境下敏感数据防泄漏系统。系统提出了使用与云计算平台的树型信任链扩展方法，克服了目前可信PC平台所采用的线性信任链存在可信计算基过大和静态度量的缺陷；系统提出了基于虚拟机自省技术的I／O流监控方法，融合了基于主机和网络的系统监控的技术优势，适用于云计算环境。系统解决了云计算环境下多租户数据共享的强隔离性，保证了敏感数据防护机制自身安全性，改变了已有防泄漏模型主要以应用层访问控制为主的被动安全模式。

5、完成云计算中的可信度量。将TPCM的主动度量和主动控制实施在每台SERVER上，同时完成对VM和VMM的主动度量。当一个VM迁移到另一个机器上，它被该机器重新度量。

Claims

1.结合可信计算和虚拟化技术，提出可信云计算的结构，坚持从源头入手，从平台启动时的安全可信、程序可控可管、数据处理和存储时的安全机密性三个方面着手，研制可信云计算系统。该系统有利于解决云计算平台用户的系统可信，程序可信和数据安全，具有很强的实用价值。

2.该系统主要集成了可信计算、虚拟化等技术，通过可信计算技术保证平台启动时的安全可信性；可信虚拟化技术则保证了数据处理阶段平台的可控可管，为敏感数据提供了可信的隔离执行环境；与平台相关的透明加解密方法使得密钥与当前虚拟机环境相绑定，保证了只有在当前平台环境配置下才能解密文件，确保了敏感数据的机密性，且对用户操作透明。